Où sont vraiment vos données ? Cloud Act et hébergement souverain
« Nos serveurs sont en Europe » ne répond pas à la question. Ce qui compte, c'est le droit auquel obéit l'entreprise qui les exploite.
Sommaire
« Nos données sont hébergées en Europe. » La phrase revient dans toutes les réponses aux appels d’offres, et elle rassure. Elle ne répond pourtant pas à la question posée.
Ce que dit vraiment le Cloud Act
C’est une loi américaine de 2018, adoptée le 23 mars 2018 au sein d’une loi de finances. Elle permet aux autorités des États-Unis d’exiger d’un fournisseur soumis à leur droit la communication de données qu’il détient ou contrôle — quel que soit le pays où ces données sont physiquement stockées.
Le critère déclenchant n’est donc pas géographique. Il est juridique : il porte sur le rattachement de l’entreprise, pas sur l’emplacement des disques.
La conséquence est simple, et elle défait la phrase du début : un centre de données situé à Paris, exploité par la filiale française d’un groupe américain, reste dans le champ. La localisation règle une question de latence, parfois une exigence contractuelle. Elle ne règle pas celle du droit applicable à l’entreprise qui détient les accès d’administration.
À cela s’ajoute un second dispositif, relatif à la surveillance des communications, qui vise les fournisseurs de services de communications électroniques et alimente depuis des années le débat sur la validité des transferts de données vers les États-Unis. Le cadre applicable à ces transferts a été refondé après plusieurs annulations successives, et sa solidité juridique fait toujours l’objet de recours. Bâtir une architecture sur l’hypothèse que ce cadre tiendra dix ans est un pari, pas une décision.
Les cinq questions à poser à un hébergeur
Elles se posent en dix minutes et se font écrire.
1. Qui contrôle la société ? Pas le nom commercial, ni le pavillon affiché : la structure capitalistique et la maison mère ultime. C’est cette réponse qui détermine le droit applicable.
2. Où sont les données — et où sont les sauvegardes ? La question de la copie est régulièrement oubliée, et il n’est pas rare que les données de production soient en France et les sauvegardes ailleurs.
3. Qui dispose d’un accès d’administration, et depuis quel pays ? Une infrastructure européenne administrée depuis un autre continent expose exactement ce qu’on cherchait à protéger. Le suivi du soleil, souvent présenté comme un avantage du support permanent, est ici une information à connaître.
4. Quels sous-traitants interviennent ? Supervision, sauvegarde, support de niveau trois, éditeur de la couche logicielle. La chaîne est plus longue qu’annoncé, et c’est le maillon oublié qui décide.
5. Qui détient les clés de chiffrement ? C’est la question la plus révélatrice, et nous y revenons plus bas.
Ce que vaut le chiffrement
Le chiffrement est présenté comme la réponse universelle. Il l’est, à une condition stricte : que les clés soient détenues par vous et ne transitent jamais chez l’hébergeur.
Un chiffrement « au repos » dont les clés sont gérées par le fournisseur protège très efficacement d’un vol de disque ou d’une intrusion physique. Il ne protège pas d’une demande adressée à ce fournisseur, puisque celui-ci dispose de tout ce qu’il faut pour déchiffrer.
La nuance est décisive et rarement mise en avant. La question à poser n’est pas « les données sont-elles chiffrées ? » — la réponse est toujours oui — mais « qui peut déchiffrer sans mon intervention ? »
Les niveaux de réponse, du plus faible au plus solide
Le nuage américain avec localisation européenne. Confort maximal, écosystème complet, et exposition juridique intacte. C’est un choix légitime pour des données publiques ou peu sensibles, à condition d’être fait en connaissance de cause plutôt que par défaut.
Les offres dites « de confiance ». Une technologie américaine exploitée sous licence par une entité européenne. Le montage vise à couper le lien juridique, et sa robustesse dépend entièrement des détails : contrôle capitalistique, accès techniques, dépendance à des mises à jour venues de l’éditeur. Il faut lire le contrat, pas la plaquette.
Les acteurs européens indépendants. Le lien juridique n’existe pas, et le débat est clos. L’écosystème est plus restreint, ce qui suppose parfois de renoncer à un service managé et de le construire.
La qualification SecNumCloud. Délivrée par l’ANSSI, elle couvre à la fois la sécurité technique et l’immunité aux réglementations extraterritoriales, via des critères portant sur le contrôle de la société et la localisation des opérations. C’est aujourd’hui, en France, le repère le plus solide pour distinguer une offre réellement souveraine d’une offre présentée comme telle. Elle est exigeante, et c’est précisément ce qui lui donne sa valeur.
Quand ça compte vraiment — et quand c’est de la posture
Il faut le dire, parce que la surenchère dessert la cause.
Le sujet est déterminant pour les données de santé, qui relèvent d’un régime d’hébergement spécifique ; pour les données sensibles au sens du règlement européen ; pour les secrets industriels et les données de recherche ; pour les informations couvertes par un marché public ; et pour toute entreprise dont les clients lui répercutent leurs propres exigences — ce qui devient courant, comme nous l’avons vu à propos de NIS2 et de la sous-traitance.
Le sujet est secondaire pour un site vitrine, un catalogue public, un blog d’entreprise. Y consacrer un projet quand le formulaire de contact envoie ses réponses vers une messagerie grand public relève de l’affichage.
La bonne méthode consiste à classer les données avant de choisir l’hébergement, et non l’inverse. Trois niveaux suffisent : public, interne, sensible. Chacun appelle une réponse différente, et il est parfaitement raisonnable de les héberger à des endroits différents.
Ce que nous faisons
Nos projets, ce site compris, sont hébergés en France par un acteur français, en région parisienne. Ce n’est pas un positionnement militant : c’est le résultat du même raisonnement que celui décrit plus haut, appliqué à des clients dont une partie travaille avec le secteur public et la santé.
Pour l’intelligence artificielle, le raisonnement est identique et l’enjeu plus aigu, puisqu’il s’agit d’envoyer du texte à un tiers : nous avons détaillé nos choix dans notre article sur l’hébergement de l’IA en Europe, et nous accompagnons ces arbitrages dans le cadre de nos prestations d’infrastructure.
La question à emporter de cet article n’est donc pas « où sont mes données ? », à laquelle tout le monde sait répondre. C’est : « qui peut y accéder sans me le demander ? »
Retrouvez nos articles en priorité dans vos résultats Google en nous ajoutant à vos sources préférées.
Ajouter aux sources préféréesQuestions fréquentes
Qu'est-ce que le Cloud Act ?
Une loi américaine de 2018 qui permet aux autorités des États-Unis d'exiger d'un fournisseur soumis à leur droit la communication de données qu'il détient ou contrôle, quel que soit le pays où elles sont stockées. Le critère déclenchant n'est donc pas la localisation des serveurs, mais le rattachement juridique de l'entreprise qui les exploite.
Héberger en Europe suffit-il à échapper à ce risque ?
Non. Un centre de données situé à Paris, exploité par la filiale d'un groupe américain, reste dans le champ. La localisation règle une question de latence et parfois de conformité contractuelle ; elle ne règle pas la question du droit applicable à l'entreprise qui détient les clés et les accès d'administration.
Quelles questions poser à un hébergeur ?
Cinq : qui contrôle la société au sens capitalistique, où sont les données et les sauvegardes, qui dispose d'un accès d'administration et depuis quel pays, quels sous-traitants interviennent sur la supervision et le support, et qui détient les clés de chiffrement. La dernière est souvent la plus révélatrice.
Qu'apporte la qualification SecNumCloud ?
Elle est délivrée par l'ANSSI et couvre à la fois la sécurité technique et l'immunité aux réglementations extraterritoriales, via des critères portant sur le contrôle capitalistique et la localisation des opérations. C'est aujourd'hui le repère le plus solide en France pour distinguer une offre réellement souveraine d'une offre présentée comme telle.
Le chiffrement résout-il le problème ?
Partiellement, et à une condition stricte : que les clés soient détenues par vous et ne transitent jamais par l'hébergeur. Un chiffrement dont les clés sont gérées par le fournisseur protège du vol de disque, pas d'une réquisition adressée à ce fournisseur. Cette nuance est rarement mise en avant dans les documentations commerciales.
Ce sujet concerne-t-il toutes les entreprises ?
Non, et prétendre le contraire dessert la cause. Pour un site vitrine ou un catalogue public, la question est secondaire. Elle devient déterminante pour les données de santé, les données sensibles, les secrets industriels, les informations couvertes par un contrat public, et pour toute entreprise dont les clients lui répercutent leurs propres exigences.
